Das tolerierbare Grenzrisiko nach MEM - eine Konstante? Dr. Carsten Seeger carsten.seeger@de.tuv.com Tel. +49.221.886.2014 TÜV Rheinland InterTraffic GmbH, Köln 6. Workshop zu Fragen von Risiko und Sicherheit im Verkehr Braunschweig, 05. November 2013 1
Zielsetzung Es wird häufig der Wert 2x10-4 Tote pro Individuum und Jahr als Zahlenwert für das tolerierbare Grenzrisiko nach MEM verwendet ohne seine Herkunft zu reflektieren (1970er) Die Zielsetzungen des Vortrags sind: a) die Quelle dieses Wertes zu erläutern b) Bewusstmachung zu schaffen, dass der Wert heute nicht mehr gültig zu sein braucht c) Es werden Indikatoren präsentiert, dass der Wert heute kleiner ist (eine (nachfolgende) systematische Analyse ist jedoch zur Fundierung der Vermutung notwendig) 2
Die Risikoanalyse. und das tolerierbare Grenzrisiko DIN EN 61508-4 (2012), 3.1.11 Sicherheit = Freiheit von unvertretbaren Risiken DIN EN 61508-4 (2012), 3.1.6 Risiko = Kombination aus der Wahrscheinlichkeit, mit der ein Schaden auftritt, und dem Ausmaß dieses Schadens Eine Funktion darf somit als sicher betrachtet werden, wenn folgende Ungleichung eingehalten wird P x C < Tolerierbares Grenzrisiko 3
Die Risikoanalyse. und das tolerierbare Grenzrisiko P x C < Tolerierbares Grenzrisiko 1) Wahrscheinlichkeit. es geht um Zufallsprozesse, daher hier im Sinne von mittlere Häufigkeit (d.h. Mittelung über ein Zeitintervall, d.h. P(T), T = Mittelungszeitraum, z.b. 1 Jahr) 2) nicht jeder gefährliche Systemfehler muss zu einem Schaden führen, d.h. risikoreduzierende Effekte können die Entwicklung hin zum Schadensereignis unterbinden, d.h. P(T) = W(T) x P 1 (T) x P 2 (T) x.. W(T) ist die mittlere Häufigkeit (pro Mittelungszeitraum), dass ein gefährlicher Systemfehler vorliegt P i müssen unabhängig voneinander und von W sein P i sind (häufig) unabhängig vom Mittelungszeitraum W(T) Systemgrenze.. 4
Die Risikoanalyse. und das tolerierbare Grenzrisiko P x C < Tolerierbares Grenzrisiko Es gibt verschiedene Kriterien, um das tolerierbare Grenzrisiko festzulegen 1) das System muss mindestens ebenso sicher sein, wie vergleichbare andere (z.b. das Vorgänger System, -> GAME) 2) für eine gegebene Maßnahme zur Erhöhung der Sicherheit sind die Aufwände A, die notwendig sind, um die Sicherheit um S zu erhöhen, überproportional groß (d.h. A / S > X 0, ) -> ALARP) 3) der Schaden für die Gemeinschaft darf nicht größer sein, als von ihr toleriert, z.b. wie viele Krankenhausbetten sind vorzuhalten (-> kollektives Risiko) 4) wie groß ist die Wahrscheinlichkeit, pro Expositionszeiteinheit (z.b. E-Stunde, d.h. Exposition gegenüber dem System in Betrieb) einen Schaden zu erleiden (-> individuelles Risiko) 5
Die Risikoanalyse. und das tolerierbare Grenzrisiko P x C < Tolerierbares Grenzrisiko Es gibt verschiedene, denkbare Ansätze, eine Grenze für die tolerierbare Wahrscheinlichkeit, pro Expositionszeiteinheit einen Schaden zu nehmen, festzulegen: Empirische Sachstände: 1. Menschen sterben u. a. krankheitsbedingt 2. Menschen sterben auch aufgrund der Anwesenheit technischer Systeme 3. Menschen sterben z.b. auch, weil sie ungeschickt sind (z.b. Treppensturz) 4. Für alle diese Ansätze lassen sich Erfahrungswerte bestimmen (Ergebnisse statistischer Analysen).die dann als tolerierbares Grenzrisiko genutzt werden können wenn man es denn möchte. 6
Die Risikoanalyse. und das tolerierbare Grenzrisiko P x C < Tolerierbares Grenzrisiko Dimensionsbetrachtungen: Analysemethode: 1. Bestimmung der Auswirkungen pro Mittelungsperiode (z.b. Tote pro Jahr, C) 2. Bestimmung der Anzahl der exponierten Personen über die Periode (N) (Auswirkungen skalieren i. d. R. mit der Anzahl der exponierten Individuen) 3. Ergebnis := Wahrscheinlichkeit, dass ein beliebig ausgewähltes exponiertes Individuum über die Mittelungsperiode stirbt = C / N 4. Wenn z.b. die Anzahl der exponierten Personen über den Mittelungszeitraum (relativ) konstant ist, die Auswirkungen aber mit der Größe der Mittelungsperiode linear skaliert (homogener Prozess), dann kann einfach z. B. auf die Zeiteinheit Stunde renormiert werden (z.b. 0,05 Tote pro exponiertes Individuum pro Jahr -> ca. 5x10-6 Tote pro exponiertes Individuum pro Stunde) 7
Die Risikoanalyse. und das tolerierbare Grenzrisiko P x C < Tolerierbares Grenzrisiko Dimensionsbetrachtungen: Beim individuellen Risiko reicht es nicht, nur die Auswirkungen zu bestimmen! Die Auswirkungen müssen auf die Mächtigkeit der Gruppe der exponierten Personen normiert werden! Bezug zu einer anderen Zeiteinheit ist unter Umständen einfach(!) durchführbar. 8
Das tolerierbare Grenzrisiko (individuelles Risiko) eine Analyse Statistische Analysen Number Crunching Quellen: www.gbe-bund.de (Gesundheitsberichterstattung des Bundes) http://www.cdc.gov/nchs/products/nvsr.htm (CDC, Centers for Diseas Control and Prevention) Die Informationen sind u. a. aufgeschlüsselt in Altersgruppen (z.b. < 1 Jahr, 1 bis <5 Jahre, 5 bis <15 Jahre, 15 bis <25 Jahre, etc.) Die Informationen sind zumeist aufgeschlüsselt in Ursachen für Deutschland: Deutsches Institut für Medizinische Dokumentation ind Information verwendet: ICD-10-GM (2010) zur Verschlüsselung von Krankheiten (Diagnose) ICD: International statistical classification of diseases and related health problems (Version 10 aus dem Jahre 1992, veröffentlicht und gepflegt durch die WHO) u. a. ICD-10, Kapitel XX, Schlüsselnummern V01 Y98 Äußere Ursachen von Morbidität und Mortalität 9
Das tolerierbare Grenzrisiko (individuelles Risiko) eine Analyse 10
Das tolerierbare Grenzrisiko (individuelles Risiko) eine Analyse 11
Das tolerierbare Grenzrisiko (individuelles Risiko) eine Analyse = 20 12
Das tolerierbare Grenzrisiko (individuelles Risiko) eine Analyse ZUSAMMENFASSUNG: Raten pro 100.000 exponierte Personen Minimum = ca. 2x10-4 Tote pro Person und Jahr 13
Das tolerierbare Grenzrisiko MEM (Minimale endogene Mortalität) Variante 1 Definition: Kuhlmann ( Einführung in die Sicherheitswissenschaften, 1981, Seite 428):. ob es ein Grundmaß des Risikos gibt, mit dem die hier dargestellte Situation im Hinblick auf die gesellschaftliche Risiko-Akzeptanz bewertet werden kann. Unser Vorschlag lautet seit längerem, sich am natürlichen Todesrisiko auszurichten. Es ist praktisch in allen Industrieländern gleich groß und verändert sich nur langsam mit der Zeit, wobei es auch die zivilisatorischen Leistungen der Technik widerspiegelt.. Die Sterberate in Abhängigkeit vom Lebensalter zeigt nach Abzug der unnatürlichen Todesursachen Unfall, angeborene Mißbildungen und Unreife im Altersbereich vom 5. bis 15. Lebensjahr ein breites Minimum. Siehe Report Dieses niedrigste natürliche Sterberisiko erscheint geeignet als 1974, p. 8, 12, 13 Absolutes Grundmaß des technischen Risikos gegen Tod. Es hat in der Bundesrepublik Deutschland den Wert R ag = 2 x 10-4 Tote je Person und Jahr. 14
Das tolerierbare Grenzrisiko MEM (Minimale endogene Mortalität) Variante 2 Definition EN 50126 (1999): Siehe Report 1974, p. 8, 12, 13 15
Das tolerierbare Grenzrisiko MEM (Minimale endogene Mortalität) Vergleich der Varianten 1 und 2 - Die beiden Definitionen (MEM) sind (annähernd) komplementär. - Begrifflich ist die Variante 1 wohl die angemessenere (endogen = im Inneren erzeugt ) - Sie verwenden den gleichen Namen. - Die Werte sind gleich. - Der Wert nach Kuhlmann (Variante 1) stimmt sehr gut mit dem Wert aus dem Jahre 1974 (U.S.A.) überein. - Der Wert nach EN 50126 (Variante 2) stimmt gut mit dem Wert aus dem Jahre 1974 (U.S.A.) überein. Verwendung gleicher Namen für unterschiedliche Kriterien ist verwirrend die Auswirkungen auf die Analyseergebnisse sind jedoch wohl vernachlässigbar, wenn die Werte Anfang der 80er Jahre verwendet werden. 16
Das tolerierbare Grenzrisiko MEM (Minimale endogene Mortalität) Variante 1 Bisher: Ergebnisse statistischer Analysen Die Wahrscheinlichkeit an einer Krankheit zu sterben ist 1974 für 4-15jährige am geringsten und hat den Wert 2x10-4 Tote pro Person pro Jahr. Exposition gegenüber Krankheiten kann als homogener Prozess betrachtet werden (-> lineare Skalierung, um den Zeitbezug zu ändern, d.h. -> ca. 2x10-8 Tote pro Person pro Stunde, 10.000 Stunden pro Jahr) Nunmehr: Verwendung als tolerierbares Grenzrisiko: Annahme: Jedes Individuum ist zu jedem Zeitpunkt 20 technischen Systemen ausgesetzt Kuhlmann (1981): Denn es ist davon auszugehen, dass der Mensch in vielen Fällen von mehreren technischen Anlagen gleichzeitig gefährdet wird.. Unser Vorschlag für das zulässige Grundrisiko durch eine einzelne technische Anlage lautet: R g = 1 x 10-5 Tote / Person und Jahr. -> 1 x 10-9 Tote / Person u. Stunde 17
Das tolerierbare Grenzrisiko MEM (Minimale endogene Mortalität) Variante 1 Wie können die Ergebnisse überprüft werden? Auch hier: Statistische Analysen (Betriebsdaten und Unfallzahlen, d.h. Auswirkungen von Systemfehlverhalten Problematisch: Was ist die Zeitskala? Zum Beispiel a) Kalenderzeit (Tote pro Person und Kalenderstunde) b) Betriebszeit (Tote pro Person und Stunde Betrieb) c) Expositions- und Betriebszeit (d.h. Tote pro Person und Stunde Exposition gegenüber dem laufenden System, d.h. Exposition UND Betrieb) Beispiel: 5 Tote pro Jahr und 10.000 exponierte Personen (-> 5x10-4 Tote p. Individuum und Jahr) 10% Betrieb p. Jahr; 10% Exposition pro Betrieb AD a) -> 5x10-8 Tote p. Individuum und Kalenderstunde AD b) -> 5x10-7 Tote p. Individuum und Betriebsstunde AD c) -> 5x10-6 Tote p. Individuum und Betriebs- UND Expositionsstunde 18
Das tolerierbare Grenzrisiko nach MEM eine Konstante? 19
Entwicklung in den U.S.A und in Deutschland U.S.A. Vital Statistics All Causes Accidents Homicide Suicide Homicide Suicide Overall diseases Accidents (only) 1970 41 20,1 1,5 20,9 18,6 1972 41 20,5 1,6 20,5 18,9 1974 38,2 18,4 1,9 19,8 16,5 1976 34,7 17 1,8 17,7 15,2 1978 34,5 17 1,8 17,5 15,2 1980 30,6 15 1,5 15,6 13,5 1984 25,5 12,5 1,9 13 10,6 1989 25,4 11,7 2,2 13,7 9,5 1996 21,7 8,9 2,1 12,8 6,8 2000 18,7 7,5 1,7 11,2 5,8 2004 16,8 6,5 1,5 10,3 5,0 2008 14,1 4,6 1,4 9,5 3,2 GBE Deutschland All Causes Accidents Homicide Suicide Homicide Suicide Overall diseases Accidents (only) 1970 1972 1974 1976 1978 1980 29,5 14,9 2,1 14,6 12,8 1984 23,0 11,0 1,8 12,0 9,2 1989 19,1 8,1 0,9 11,0 7,2 1996 14,0 6,1 1,0 7,9 5,1 2000 12,2 4,3 0,8 7,9 3,5 2004 10,0 3,0 0,6 7,0 2,4 2008 9,5 2,4 0,4 7,1 2,0 Die Wahrscheinlichkeit eines Jugendlichen innerhalb eines Jahres zu sterben ist heute kleiner als die Wahrscheinlichkeit im Jahr 1980 an einer Krankheit zu sterben. Die Wahrscheinlichkeit eines Jugendlichen an einer Krankheit zu sterben ist heute deutlich kleiner als Anfang der 80er Jahre (ca. 50% (D) und 70% (U.S.A) Die Wahrscheinlichkeit eines Jugendlichen aufgrund eines Unfalls zu sterben ist heute deutlich kleiner als Anfang der 80er Jahre (ca. 15% (D) und 25% (U.S.A.) 20
Konkrete Werte heute in Deutschland (2010) Anhang A 2: Bevölkerung (5-14): 7.571.076 Jugendliche Abschnitt 2.1.1: Oper(insgesamt) = 681 Seite 6: Opfer (äußere Ursachen) = 193 Seite 6: Opfer(nur Unfälle) = 146 -> Rate = 1,9 x 10-5 Tote p. Individuum. p. a. Somit: Opfer (Krankheiten) = 681 193 = 488 -> 6,4 x 10-5 Tote p. I. p. a. Somit: MEM nach Kuhlmann : 2x10-4 / 6,4x10-5 = 3,125 MEM nach EN 50126 : 2x10-4 / 1,9x10-5 = 10,1 -> halber SIL (logarithmische Skala) -> ganzer SIL 21
.. und nun? Es liegen Indikatoren vor, dass bei Verwendung von aktuellen Werten die Sicherheitsintegritätsanforderungen schärfer sein müssten als sie es sind (ca. 1/2 SIL (Kuhlmann), ca. 1 SIL (EN 50126). Der Wert 2x10-4 Tote pro Person und Jahr sollte nicht unkritisch verwendet werden Insbesondere Organisationen, die tolerierbare Grenzrisiken nach MEM festlegen, sollten die Gültigkeit der verwendeten Werte sicherstellen Wenn der Wert 2x10-4 Tote pro Person und Jahr verwendet wird, sollte sein Bezugsjahr gekennzeichnet werden (z.b. Anfang der 80er Jahre) Standardisierungsgremien sollten sicherstellen, dass diese Sachstände in den Standards nachvollziehbar dargelegt sind, damit sichergestellt ist, dass sich der Anwender der Grenzen und des Anwendungsbereichs z.b. von Beispielen bewusst ist und bleibt 22
Zusammenfassung Die Festlegungen gemäß Kuhlmann und EN 50126 sind (beinahe) Komplementär Die Personengruppe der 5-14 jährigen weist die geringste Wahrscheinlichkeit auf, innerhalb eines Jahres zu sterben In den 70er Jahren war die Wahrscheinlichkeit in den U.S.A. eines 5-14 jährigen an einer Krankheit zu sterben in etwa genauso groß, wie an einem Unfall zu sterben Sowohl in den U.S.A. als auch in Deutschland (und auch in der Schweiz) ist die Wahrscheinlichkeit eines 5-14 jährigen innerhalb eines Jahres zu sterben kleiner geworden; Die Wahrscheinlichkeit einer solchen Person (in Deutschland) an einem Unfall zu sterben hat sich seit den 70er Jahren um rund 90% reduziert. Die Wahrscheinlichkeit einer solchen Person (in Deutschland) an einer Krankheit zu sterben hat sich seit den 70er Jahren um rund 60% reduziert. Die beiden Werte für die beiden unterschiedlichen Definitionen von MEM (Kuhlmann / EN 50126) haben sich unterschiedlich entwickelt. 23
Vielen Dank für Ihre Aufmerksamkeit. TÜV Rheinland InterTraffic GmbH Dr. Carsten Seeger 24